NIS2 · Anlagen 1 und 2 zu § 28 BSIG

Alle 18 NIS2-Sektoren in der Übersicht

NIS2 erfasst in Deutschland 11 Sektoren mit hoher Kritikalität (Anlage 1 BSIG) und 7 sonstige kritische Sektoren (Anlage 2 BSIG). Wählen Sie einen Sektor für Teilbranchen, Beispiel-Unternehmen, Größenschwellen und Einstufung.

Sektoren gesamt: 18
Anlage 1 zum BSIG (hohe Kritikalität): 11
Anlage 2 zum BSIG (sonstige kritische): 7

Nur Sektoren zeigen, die als besonders wichtig eingestuft werden können

Anlage 1 zum BSIG - Sektoren mit hoher Kritikalität

Können besonders wichtige oder wichtige Einrichtung sein.

Anlage 2 zum BSIG - sonstige kritische Sektoren

Wichtige Einrichtung ab mittlerer Unternehmensgröße.

Diese Übersicht verwenden

Sie dürfen diese Sektoren-Übersicht gern zitieren und verlinken - etwa in Fachbeiträgen, Beratungsunterlagen oder auf Verbandsseiten. Bitte nennen Sie CompliantDesk als Quelle mit Link.

NIS2-Sektoren-Übersicht (Anlagen 1 und 2 BSIG). Quelle: CompliantDesk, https://www.compliantdesk.de/nis2-sektoren

Wie funktioniert die NIS2-Einstufung nach Sektoren?

Ob Ihr Unternehmen unter die NIS2-Richtlinie fällt, hängt von zwei Faktoren ab: der Zugehörigkeit zu einem regulierten Sektor und der Unternehmensgröße. Das BSIG ordnet die Sektoren dazu zwei Anlagen zu (Anlagen 1 und 2 zu § 28 BSIG, sie entsprechen den Anhängen I und II der Richtlinie). Anlage 1 zum BSIG umfasst die 11 Sektoren mit besonders hoher Kritikalität, etwa Energie, Transport, Gesundheit, Trinkwasser, digitale Infrastruktur und die Verwaltung von IKT-Diensten. Anlage 2 zum BSIG ergänzt 7 weitere kritische Sektoren wie Post- und Kurierdienste, Chemie, Lebensmittel, das verarbeitende Gewerbe, Abfallwirtschaft, Anbieter digitaler Dienste und Forschung.

Für die Größe gelten die Schwellen nach § 28 BSIG. Ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und mehr als 10 Millionen Euro Bilanzsumme ist ein Unternehmen mindestens eine wichtige Einrichtung, sofern es einer der beiden Anlagen zugeordnet ist. Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Bilanzsumme zählen Unternehmen in Anlage-1-Sektoren als besonders wichtige Einrichtung.

Besonders wichtige und wichtige Einrichtungen

Das deutsche Umsetzungsgesetz (NIS2UmsuCG, umgesetzt im BSIG) spricht von besonders wichtigen Einrichtungen (in der EU-Richtlinie: wesentliche Einrichtungen) und wichtigen Einrichtungen. Beide Gruppen müssen dieselben zehn Risikomanagementmaßnahmen umsetzen und Sicherheitsvorfälle innerhalb strenger Fristen melden. Der Unterschied liegt in der Aufsicht: Besonders wichtige Einrichtungen unterliegen einer proaktiven, regelmäßigen Kontrolle, wichtige Einrichtungen werden anlassbezogen geprüft. Auch die Bußgeldrahmen unterscheiden sich.

Großunternehmen in Anlage-1-Sektoren werden in der Regel als besonders wichtig eingestuft, mittlere Unternehmen in denselben Sektoren als wichtig. Unternehmen in Anlage-2-Sektoren gelten als wichtige Einrichtung, sobald sie die Größenschwelle erreichen, auch wenn sie Großunternehmen sind. Welche Pflichten daraus folgen, erläutern die 10 NIS2-Pflichten.

Sonderfälle: größenunabhängige Betroffenheit

Von der Größenlogik gibt es wichtige Ausnahmen. Bestimmte Einrichtungen fallen unabhängig von Mitarbeiterzahl und Umsatz unter NIS2. Dazu zählen qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries und DNS-Diensteanbieter, bestimmte Anbieter öffentlicher Telekommunikationsnetze und -dienste sowie Betreiber kritischer Anlagen (KRITIS) und Teile der zentralen Bundesverwaltung. Auch wenn ein Unternehmen der einzige Anbieter eines wesentlichen Dienstes in Deutschland ist, kann die Größenschwelle entfallen.

Zusätzlich wirkt NIS2 über die Lieferkette: Wer als Zulieferer oder Dienstleister für eine NIS2-pflichtige Einrichtung tätig ist, wird häufig vertraglich zu Sicherheitsmaßnahmen und Nachweisen verpflichtet - selbst unterhalb der eigenen Schwellenwerte. Eine Einordnung der eigenen Branche liefern die NIS2-Branchenseiten, die je Sektor Beispiele, typische Risiken und häufige Fragen behandeln.

Häufige Fragen zu den NIS2-Sektoren

Wie viele Sektoren erfasst die NIS2-Richtlinie?

NIS2 erfasst 18 Sektoren: 11 Sektoren mit hoher Kritikalität nach Anlage 1 zum BSIG und 7 sonstige kritische Sektoren nach Anlage 2 zum BSIG. Die Einordnung entscheidet zusammen mit der Unternehmensgröße über die Betroffenheit.

Ab welcher Größe greift NIS2?

NIS2 gilt grundsätzlich ab mittlerer Unternehmensgröße: ab 50 Mitarbeitenden oder über 10 Mio. Euro Jahresumsatz. Als besonders wichtige Einrichtung gelten Unternehmen in Anlage-1-Sektoren ab 250 Mitarbeitenden oder über 50 Mio. Euro Umsatz.

Was ist der Unterschied zwischen besonders wichtigen und wichtigen Einrichtungen?

Besonders wichtige Einrichtungen (in der EU-Richtlinie: wesentliche Einrichtungen) unterliegen einer strengeren, proaktiven Aufsicht. Das sind vor allem Großunternehmen in Anlage-1-Sektoren. Wichtige Einrichtungen werden anlassbezogen beaufsichtigt; dazu zählen mittlere Unternehmen in Anlage-1-Sektoren sowie alle Unternehmen ab mittlerer Größe in Anlage-2-Sektoren.

Gibt es Einrichtungen, die größenunabhängig unter NIS2 fallen?

Ja. Qualifizierte Vertrauensdiensteanbieter, TLD-Name-Registries, DNS-Diensteanbieter, bestimmte Telekommunikationsanbieter sowie Betreiber kritischer Anlagen (KRITIS) und Teile der Bundesverwaltung fallen unabhängig von Mitarbeiterzahl und Umsatz unter NIS2.

Bin ich betroffen, wenn ich Zulieferer eines NIS2-Unternehmens bin?

Auch unterhalb der Größenschwellen können Sie indirekt betroffen sein. NIS2-pflichtige Auftraggeber müssen ihre Lieferkette absichern und geben Sicherheitsanforderungen vertraglich weiter - inklusive Nachweispflichten gegenüber ihren Dienstleistern.

Betroffenheit in rund 5 Minuten prüfen und dokumentieren

NIS2-Check gratis Die 10 NIS2-Pflichten

Der kostenlose NIS2-Check stuft Ihr Unternehmen anhand von Tätigkeit, Größe und Unternehmensgruppe nach § 28 BSIG ein. Auf Wunsch senden wir Ihnen eine PDF-Dokumentation der Prüfung.